{% raw %}

Flask 和登录验证

原文： https://pythonspot.com/login-authentication-with-flask/

52.md - 图1

Flask 图标

在本教程中，您将学习如何使用 Flask 和 Python 构建登录 Web 应用程序。

建立一个 Flask 登录页面

创建此 Python 文件并将其另存为app.py：

  1. from flask import Flask
  2. from flask import Flask, flash, redirect, render_template, request, session, abort
  3. import os
  5. app = Flask(__name__)
  7. @app.route('/')
  8. def home():
  9. if not session.get('logged_in'):
  10. return render_template('login.html')
  11. else:
  12. return "Hello Boss!"
  14. @app.route('/login', methods=['POST'])
  15. def do_admin_login():
  16. if request.form['password'] == 'password' and request.form['username'] == 'admin':
  17. session['logged_in'] = True
  18. else:
  19. flash('wrong password!')
  20. return home()
  22. if __name__ == "__main__":
  23. app.secret_key = os.urandom(12)
  24. app.run(debug=True,host='0.0.0.0', port=4000)

在此处创建了两条路由（您可以在浏览器 URL 栏中看到的路径）：

  1. @app.route('/')
  2. @app.route('/login', methods=['POST'])

第一个显示基于登录条件的登录屏幕或主屏幕。第二个路由在登录时验证登录变量。

我们创建目录/templates/。 使用以下代码创建文件/templates/login.html：

  1. {% block body %};
  2. {% if session['logged_in'] %};
  4. You're logged in already!
  6. {% else %};
  7. <form action="/login" method="POST">
  8.   <input type="username" name="username" placeholder="Username">
  9. <input type="password" name="password" placeholder="Password">
  10. <input type="submit" value="Log in">
  11. </form>
  12. {% endif %};
  13. {% endblock %};
  14. {% endraw %};

使用以下命令运行 Web 应用程序：

  1. $ python hello.py

在您的网络浏览器中打开 http://localhost:5000/ ，然后会出现登录屏幕。 登录凭据显示在do_admin_login()函数中。

52.md - 图2

Pythonspot.com 登录界面

使它看起来很棒

功能正常时，登录屏幕看起来像 90 年代初期的用户界面（UI）。 我们从 codepen.io 中选择了一个随机登录模板。 我们使用文件style.css创建目录/static/。

  1. * {
  2. box-sizing: border-box;
  3. }
  5. *:focus {
  6. outline: none;
  7. }
  8. body {
  9. font-family: Arial;
  10. background-color: #3498DB;
  11. padding: 50px;
  12. }
  13. .login {
  14. margin: 20px auto;
  15. width: 300px;
  16. }
  17. .login-screen {
  18. background-color: #FFF;
  19. padding: 20px;
  20. border-radius: 5px
  21. }
  23. .app-title {
  24. text-align: center;
  25. color: #777;
  26. }
  28. .login-form {
  29. text-align: center;
  30. }
  31. .control-group {
  32. margin-bottom: 10px;
  33. }
  35. input {
  36. text-align: center;
  37. background-color: #ECF0F1;
  38. border: 2px solid transparent;
  39. border-radius: 3px;
  40. font-size: 16px;
  41. font-weight: 200;
  42. padding: 10px 0;
  43. width: 250px;
  44. transition: border .5s;
  45. }
  47. input:focus {
  48. border: 2px solid #3498DB;
  49. box-shadow: none;
  50. }
  52. .btn {
  53. border: 2px solid transparent;
  54. background: #3498DB;
  55. color: #ffffff;
  56. font-size: 16px;
  57. line-height: 25px;
  58. padding: 10px 0;
  59. text-decoration: none;
  60. text-shadow: none;
  61. border-radius: 3px;
  62. box-shadow: none;
  63. transition: 0.25s;
  64. display: block;
  65. width: 250px;
  66. margin: 0 auto;
  67. }
  69. .btn:hover {
  70. background-color: #2980B9;
  71. }
  73. .login-link {
  74. font-size: 12px;
  75. color: #444;
  76. display: block;
  77. margin-top: 12px;
  78. }

将login.html模板修改为：

  1.                <link rel="stylesheet" href="/static/style.css" type="text/css">
  2. {% block body %};
  4. <form action="/login" method="POST">
  5. <div class="login">
  6. <div class="login-screen">
  7. <div class="app-title">
  8. <h1>Login</h1>
  9. </div>
  10. <div class="login-form">
  11. <div class="control-group">
  12.                 <input type="text" class="login-field" value="" placeholder="username" name="username">
  13. <label class="login-field-icon fui-user" for="login-name"></label></div>
  14. <div class="control-group">
  15.                 <input type="password" class="login-field" value="" placeholder="password" name="password">
  16. <label class="login-field-icon fui-lock" for="login-pass"></label></div>
  17. <input type="submit" value="Log in" class="btn btn-primary btn-large btn-block">
  19. </div>
  20. </div>
  21. </div>
  22. </form>
  23. {% endblock %};

重新启动应用程序后，将出现以下屏幕：

52.md - 图3

Python Flask 登录界面

很棒，不是吗？ :-)

那么注销呢？

如您所见，没有注销按钮或功能。 创建起来非常容易。 下面提出的解决方案只是众多解决方案之一。 我们创建一个新的路由/logout，它直接指向函数logout()。 此函数清除会话变量并返回登录屏幕。

  1. @app.route("/logout")
  2. def logout():
  3. session['logged_in'] = False
  4. return home()

完整代码：

  1. from flask import Flask
  2. from flask import Flask, flash, redirect, render_template, request, session, abort
  3. import os
  5. app = Flask(__name__)
  7. @app.route('/')
  8. def home():
  9. if not session.get('logged_in'):
  10. return render_template('login.html')
  11. else:
  12. return "Hello Boss!  <a href="/logout">Logout</a>"
  14. @app.route('/login', methods=['POST'])
  15. def do_admin_login():
  16. if request.form['password'] == 'password' and request.form['username'] == 'admin':
  17. session['logged_in'] = True
  18. else:
  19. flash('wrong password!')
  20. return home()
  22. @app.route("/logout")
  23. def logout():
  24. session['logged_in'] = False
  25. return home()
  27. if __name__ == "__main__":
  28. app.secret_key = os.urandom(12)
  29. app.run(debug=True,host='0.0.0.0', port=4000)

连接数据库

如果要使用多用户登录系统，则应在应用程序中添加一个数据库层。Flask 没有现成的数据库支持。 如果要数据库支持，则必须使用第三方库。 在本教程中，我们将使用 SqlAlchemy。 如果您没有安装，请执行以下操作：

  1. $ sudo pip install Flask-SqlAlchemy

SQLAlchemy 是用于 Python 编程语言的 SQL 工具箱和对象关系映射器（ORM）。 它支持 MySQL，Microsoft SQL Server 和许多其他关系数据库管理系统。 如果您不熟悉所有这些术语，请继续阅读。

创建文件tabledef.py：

  1. from sqlalchemy import *
  2. from sqlalchemy import create_engine, ForeignKey
  3. from sqlalchemy import Column, Date, Integer, String
  4. from sqlalchemy.ext.declarative import declarative_base
  5. from sqlalchemy.orm import relationship, backref
  7. engine = create_engine('sqlite:///tutorial.db', echo=True)
  8. Base = declarative_base()
  10. ########################################################################
  11. class User(Base):
  12. """"""
  13. __tablename__ = "users"
  15. id = Column(Integer, primary_key=True)
  16. username = Column(String)
  17. password = Column(String)
  19. #----------------------------------------------------------------------
  20. def __init__(self, username, password):
  21. """"""
  22. self.username = username
  23. self.password = password
  25. # create tables
  26. Base.metadata.create_all(engine)

使用以下命令执行：

  1. python tabledef.py

该文件将创建数据库结构。在目录内，您将找到一个名为tutorial.db的文件。创建一个名为dummy.py的文件，其中将包含以下代码：

  1. import datetime
  2. from sqlalchemy import create_engine
  3. from sqlalchemy.orm import sessionmaker
  4. from tabledef import *
  6. engine = create_engine('sqlite:///tutorial.db', echo=True)
  8. # create a Session
  9. Session = sessionmaker(bind=engine)
  10. session = Session()
  12. user = User("admin","password")
  13. session.add(user)
  15. user = User("python","python")
  16. session.add(user)
  18. user = User("jumpiness","python")
  19. session.add(user)
  21. # commit the record the database
  22. session.commit()
  24. session.commit()

执行：

  1. $ python dummy.py

这会将伪数据放入数据库中。 最后，我们更新app.py

使用 SqlAlchemy 验证登录凭据

下一步是编写验证数据库中存在的用户和密码的功能。 使用 SqlAlchemy 我们可以做到这一点（虚拟/伪代码）：

  1. @app.route('/test')
  2. def test():
  4. POST_USERNAME = "python"
  5. POST_PASSWORD = "python"
  7. Session = sessionmaker(bind=engine)
  8. s = Session()
  9. query = s.query(User).filter(User.username.in_([POST_USERNAME]), User.password.in_([POST_PASSWORD]) )
  10. result = query.first()
  11. if result:
  12. return "Object found"
  13. else:
  14. return "Object not found " + POST_USERNAME + " " + POST_PASSWORD

我们使用 SqlAlchemys Oject 关系映射（ORM）。 我们将对象映射到关系数据库表，反之亦然。 定义（用户）在tabledef.py中给出。s.query函数是构建查询的地方。 我们有两个条件：用户名和密码必须匹配。 如果对象存在，query.first()返回true，否则返回false。 这给出了以下总代码：

  1. from flask import Flask
  2. from flask import Flask, flash, redirect, render_template, request, session, abort
  3. import os
  4. from sqlalchemy.orm import sessionmaker
  5. from tabledef import *
  6. engine = create_engine('sqlite:///tutorial.db', echo=True)
  8. app = Flask(__name__)
  10. @app.route('/')
  11. def home():
  12. if not session.get('logged_in'):
  13. return render_template('login.html')
  14. else:
  15. return "Hello Boss!  <a href="/logout">Logout</a>"
  17. @app.route('/login', methods=['POST'])
  18. def do_admin_login():
  20. POST_USERNAME = str(request.form['username'])
  21. POST_PASSWORD = str(request.form['password'])
  23. Session = sessionmaker(bind=engine)
  24. s = Session()
  25. query = s.query(User).filter(User.username.in_([POST_USERNAME]), User.password.in_([POST_PASSWORD]) )
  26. result = query.first()
  27. if result:
  28. session['logged_in'] = True
  29. else:
  30. flash('wrong password!')
  31. return home()
  33. @app.route("/logout")
  34. def logout():
  35. session['logged_in'] = False
  36. return home()
  38. if __name__ == "__main__":
  39. app.secret_key = os.urandom(12)
  40. app.run(debug=True,host='0.0.0.0', port=4000)

现在，您可以使用数据库表中定义的任何用户登录。

那么安全性呢？

我们在上面演示了一个简单的登录应用程序。 但是，正确保护它是您的工作。 有很多人会尝试闯入您的应用程序。

下载 Flask 示例

最佳做法：

  • 散列数据库密码。 不要将它们存储为纯文本格式。

  • 使用 HTTPS 来保护连接。

  • 记录失败的登录尝试。

  • 使用验证码可以防止暴力破解登录。

  • 其他？ 在评论中写下它们。